À propos des correctifs de sécurité de Safari 5.0.2 et de Safari 4.1.2
Ce document décrit les correctifs de sécurité de Safari 5.0.2 et de Safari 4.1.2.
Dans un souci de protection de ses clients, Apple s’interdit de divulguer, d’aborder ou de confirmer l’existence de failles de sécurité tant qu’une enquête approfondie n’a pas été effectuée et que les correctifs ou mises à jour nécessaires ne sont pas disponibles. Pour obtenir des renseignements supplémentaires sur la sécurité produit d’Apple, consultez le site Web Sécurité produit d’Apple .
Pour en savoir plus sur la clé PGP du groupe de sécurité produit d’Apple, consultez l’articleComment utiliser la clé PGP du groupe de sécurité produit d’Apple.
Des références CVE sont utilisées, le cas échéant, pour répertorier les vulnérabilités et fournir des renseignements supplémentaires.
Pour obtenir des informations sur les autres mises à jour de sécurité, consultez l’article Mises à jour de sécurité d’Apple.
Safari 5.0.2 et Safari 4.1.2
Safari
Référence CVE : CVE-2010-1805
Disponible pour : Windows 7, Vista, XP SP2 ou version ultérieure
Conséquence : l’ouverture d’un fichier dans un répertoire accessible en écriture par d’autres utilisateurs peut entraîner l’exécution de code arbitraire.
Description : il existe un problème de chemin de recherche dans Safari. Lors de l’affichage de l’emplacement d’un fichier téléchargé, Safari lance l’Explorateur Windows sans spécifier le chemin d’accès complet de l’exécutable. Si Safari est lancé en ouvrant un fichier dans un répertoire spécifique, ce dernier sera inclus dans le chemin de recherche. Tenter de révéler l’emplacement d’un fichier téléchargé peut conduire à l’exécution d’une application contenue dans ce répertoire, ce qui peut entraîner l’exécution de code arbitraire. Ce problème est résolu par l’utilisation d’un chemin de recherche explicite lors du lancement de l’Explorateur Windows. Ce problème n’affecte pas les systèmes Mac OS X. Nous remercions Simon Raner, d’ACROS Security, d’avoir signalé ce problème.
WebKit
Référence CVE : CVE-2010-1807
Disponible pour : Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5.8, Mac OS X Server 10.5.8, Mac OS X 10.6.2 ou version ultérieure, Mac OS X Server 10.6.2 ou version ultérieure, Windows 7, Vista, XP SP2 ou version ultérieure
Conséquence : la consultation d’un site web malveillant peut entraîner la fermeture inopinée de l’application ou l’exécution de code arbitraire.
Description : il existe un problème de validation de saisie au niveau du traitement par WebKit des types de données à virgule flottante. La consultation d’un site Web malveillant peut entraîner la fermeture inopinée de l’application ou l’exécution de code arbitraire. Ce problème est résolu par une meilleure validation des valeurs à virgule flottante. Nous remercions Luke Wagner, de Mozilla, d’avoir signalé ce problème.
WebKit
Référence CVE : CVE-2010-1806
Disponible pour : Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5.8, Mac OS X Server 10.5.8, Mac OS X 10.6.2 ou version ultérieure, Mac OS X Server 10.6.2 ou version ultérieure, Windows 7, Vista, XP SP2 ou version ultérieure
Conséquence : la consultation d’un site web malveillant peut entraîner la fermeture inopinée de l’application ou l’exécution de code arbitraire.
Description : il existe un problème d’utilisation après libération dans le traitement par WebKit des éléments utilisant des styles run-in. La consultation d’un site Web malveillant peut entraîner la fermeture inopinée de l’application ou l’exécution de code arbitraire. Ce problème est corrigé par un meilleur traitement des pointeurs d’objet. Nous remercions wushi of team509, travaillant en collaboration avec le programme Zero Day Initiative de TippingPoint, d’avoir signalé ce problème.
Important : les renseignements concernant des produits non fabriqués par Apple ne sont fournis qu’à titre indicatif et ne constituent ni une recommandation, ni une approbation, de la part d’Apple. Communiquez avec le fournisseur pour obtenir des informations supplémentaires.
Les renseignements sur les produits qui ne sont pas fabriqués par Apple ou sur les sites Web indépendants qui ne sont pas gérés ou vérifiés par Apple sont fournis sans recommandation ni approbation de la part d’Apple. Apple se dégage de toute responsabilité quant à la sélection, au bon fonctionnement ou à l’utilisation de sites Web ou de produits de tiers. Apple ne fait aucune déclaration et n’offre aucune garantie quant à l’exactitude ou à la fiabilité de ces sites Web de tiers. Communiquez avec le vendeur pour de plus amples renseignements.